Acuerdo de corresponsabilidad

§ 1. Partes y objeto

1. Los corresponsables del tratamiento de los datos de los Autores son: VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (en adelante, «VERTOM») y el Cliente.

2. La corresponsabilidad abarca la lectura de Entradas públicas en las Fuentes indicadas, su evaluación, la preparación de un Borrador de respuesta, el almacenamiento de Leads y el envío de notificaciones.

3. La corresponsabilidad no abarca lo que el Cliente haga con el Lead después de recibirlo: el contacto con el Autor, el registro de los datos en sus propios sistemas y la correspondencia posterior. En este ámbito, el Cliente es responsable del tratamiento independiente y responde por ello por sí mismo.

4. El acuerdo se aplica durante la vigencia del contrato de uso del Servicio y hasta la eliminación de los datos de conformidad con el § 9.

§ 2. Naturaleza, finalidad, tipo de datos y categorías de personas

1. Naturaleza del tratamiento: recopilación automatizada, registro, organización, almacenamiento, análisis de contenido, puesta a disposición del Cliente y eliminación.

2. Finalidad: identificar Entradas públicas en las que el Autor expresa una necesidad de un producto o servicio del Cliente, con el fin de permitir al Cliente establecer contacto.

3. Tipo de datos: nombre y apellidos o nombre de perfil del Autor, enlace al perfil, si es público, contenido de la Entrada, fecha de publicación, dirección de la Fuente, contadores públicos de reacciones y comentarios, resultado de la evaluación de la Entrada junto con la justificación generada por el Servicio, contenido del Borrador de respuesta y estado del Lead asignado por el Cliente.

4. Categorías de personas: Autores de Entradas públicas en las Fuentes indicadas por el Cliente, en los servicios Facebook, Reddit y X.

5. No tratamos intencionadamente datos de categorías especiales. VERTOM establece el catálogo de Fuentes prohibidas (Reglamento § 7, apartado 3), que se aplica con independencia de la voluntad del Cliente. Si, pese a ello, una Entrada contiene tales datos, estos se tratan exclusivamente como elemento del contenido de la Entrada, sin análisis separado, y están sujetos al mismo plazo de eliminación que los demás.

§ 3. Reparto de obligaciones (artículo 26, apartado 1, del RGPD)

1. VERTOM determina y realiza: la forma de lectura de las Entradas, el alcance de los campos registrados, el plazo de conservación, el modelo utilizado para la evaluación, la eliminación de datos identificativos del contenido transmitido al modelo, el catálogo de Fuentes prohibidas y las medidas técnicas y organizativas (§ 4).

2. El Cliente determina y realiza: la lista de Fuentes, los criterios de evaluación, el calendario de Escaneos, los canales de notificación y la finalidad y forma de uso del Lead después de recibirlo.

3. VERTOM cumple el deber de información frente a los Autores (artículo 14 del RGPD). La información se publica en useleadscanner.com/legal/notice-for-authors, en cada idioma en el que está disponible el Servicio. El Cliente indica esta dirección al Autor que le pregunte por la fuente de sus datos.

4. El punto de contacto para los Autores en el sentido del artículo 26, apartado 1, tercera frase, del RGPD es VERTOM: [email protected]. VERTOM recibe y tramita las solicitudes de los Autores (§ 8), también cuando se refieren a datos en la Organización del Cliente. El Cliente que reciba directamente una solicitud la transmite sin demora a dicha dirección.

5. Con independencia del reparto anterior, el Autor puede ejercer los derechos que le corresponden frente a cada uno de los corresponsables del tratamiento (artículo 26, apartado 3, del RGPD), y cada uno de ellos responde frente al Autor conforme al artículo 82 del RGPD.

6. Si VERTOM considera que una configuración introducida por el Cliente infringe las normas de protección de datos, informa de ello al Cliente y puede suspender los Escaneos hasta que se aclare la situación.

§ 4. Medidas y obligaciones de VERTOM

1. VERTOM garantiza que las personas autorizadas para tratar los datos se han comprometido a guardar secreto y que únicamente tienen acceso a los datos de los Autores las personas para las que dicho acceso es necesario; cada lectura de datos de los Autores por parte de un operador del Servicio fuera del funcionamiento habitual del Servicio se registra en el registro de auditoría.

2. Aplica medidas técnicas y organizativas adecuadas al riesgo, en particular: cifrado de conexiones, cifrado en reposo de los secretos de integración, aislamiento de los datos de cada Organización con identificadores impredecibles, autenticación de dos factores para las cuentas de operadores, limitación del número de intentos de inicio de sesión, eliminación automática de datos al finalizar el plazo de conservación, copias de seguridad en el Espacio Económico Europeo y eliminación de datos identificativos del contenido transmitido al modelo lingüístico antes de su envío.

3. Tramita centralmente las solicitudes de los Autores (§ 8) e informa de ellas al Cliente cuando sea posible. VERTOM tramita una solicitud dirigida al Cliente en un plazo de 7 días desde su transmisión.

4. Facilita al Cliente la información necesaria para demostrar el cumplimiento de las obligaciones previstas en los artículos 26 y 32 a 36 del RGPD, en la medida en que se refieran a la parte del tratamiento realizada por VERTOM.

5. Informa al Cliente, sin dilación indebida y a más tardar en un plazo de 48 horas desde que tenga conocimiento de la violación, de cualquier violación de la seguridad de los datos personales que afecte a datos de los Autores, indicando las circunstancias que conozca, las categorías y el número aproximado de personas, así como las medidas adoptadas. VERTOM presenta las notificaciones a la autoridad de control en el ámbito del tratamiento mencionado en el § 3, apartado 1.

6. Permite al Cliente verificar la ejecución de este acuerdo conforme a las reglas del § 6.

§ 5. Encargados del tratamiento y fuentes de datos

1. VERTOM utiliza los encargados del tratamiento enumerados en la lista disponible en useleadscanner.com/legal/subprocessors, en el ámbito allí descrito. El Cliente otorga para ello una autorización general.

2. La misma lista indica las fuentes de datos: entidades que ponen a disposición contenidos públicos de los servicios Reddit y X. No actúan por encargo nuestro: determinan por sí mismas cómo recopilan dichos contenidos y, respecto de los datos de los Autores, actúan como responsables del tratamiento independientes. No son encargados del tratamiento y no celebramos con ellas contratos de encargo en virtud del artículo 28 del RGPD; las mencionamos porque los datos de los Autores proceden de ellas y el Cliente tiene derecho a saber de dónde proceden.

3. VERTOM informa al Cliente por correo electrónico de la intención de añadir o modificar un encargado del tratamiento o una fuente de datos al menos 30 días antes. El Cliente puede, dentro de ese plazo, formular una objeción indicando motivos justificados relacionados con la protección de datos. Si las partes no llegan a un acuerdo, el Cliente puede resolver el contrato de uso del Servicio con efectos a la fecha de introducción del cambio, y la tarifa por el período no utilizado se reembolsará proporcionalmente.

4. VERTOM impone a cada encargado del tratamiento, mediante contrato, las mismas obligaciones de protección de datos que le incumben a él y responde frente al Cliente del cumplimiento de dichas obligaciones por parte de ese encargado.

§ 6. Verificación y auditoría

1. El Cliente puede verificar la ejecución de este acuerdo solicitando información y documentos, incluidos resultados de auditorías y certificados de los encargados del tratamiento. VERTOM responde en un plazo de 14 días.

2. Si la información del apartado 1 no fuera suficiente, el Cliente puede realizar una auditoría, por sí mismo o a través de un auditor sujeto a obligación de confidencialidad, no más de una vez al año, salvo que se haya producido una violación de la seguridad de los datos personales, previo aviso de al menos 14 días, durante el horario laboral y de forma que no perturbe el funcionamiento del Servicio ni vulnere la confidencialidad de los datos de otros clientes. Los costes de la auditoría corren a cargo del Cliente, salvo que la auditoría demuestre un incumplimiento sustancial del acuerdo.

§ 7. Transferencia de datos fuera del EEE

1. Los datos de los Autores se almacenan en servidores situados en el Espacio Económico Europeo.

2. La transferencia de datos fuera del EEE se realiza exclusivamente a los procesadores indicados en la lista del § 5, apartado 1, sobre la base de una decisión de la Comisión Europea sobre un nivel adecuado de protección (incluido en el marco del EU-U.S. Data Privacy Framework) y, en ausencia de dicha decisión o en caso de su anulación, sobre la base de cláusulas contractuales tipo adoptadas por la Comisión, complementadas por una evaluación de impacto de la transferencia.

3. El proveedor del modelo lingüístico utilizado en el Modo IA es OpenAI Ireland Ltd (EEE), sobre la base del acuerdo de encargo del tratamiento de OpenAI. Las consultas al modelo se procesan en servidores de OpenAI en Estados Unidos; la base de esta transferencia son las cláusulas contractuales tipo incorporadas a dicho acuerdo. El contenido transmitido a través de la API no se utiliza para entrenar modelos. El contenido de la Publicación transmitido al modelo se priva previamente de nombres y apellidos, direcciones de correo electrónico, números de teléfono y enlaces a perfiles.

4. El proveedor de acceso a contenidos públicos de los servicios Reddit y X tiene su sede fuera del EEE, pero la dirección del flujo es aquí inversa a la de los apartados 2 y 3. No le facilitamos datos de los Autores: enviamos el nombre de la Fuente y la frase de búsqueda, y recibimos contenidos públicos junto con los datos de sus Autores. La recepción de datos de una fuente situada fuera del EEE es una recogida de datos, no una transferencia en el sentido del capítulo V del RGPD, y está sujeta a las mismas normas que cualquier otra recogida descrita en este acuerdo de corresponsabilidad.

5. Sin embargo, un flujo sale al exterior y puede identificar a una persona: cuando la Fuente es una cuenta pública concreta en el servicio X, su nombre sale del EEE. El nombre es público, lo enviamos exclusivamente para leer las publicaciones públicas de esa cuenta y no lo vinculamos con ningún otro dato. La calificación jurídica de este único flujo es objeto de consulta jurídica; incluiremos su resultado en este lugar. Salvo este flujo, los datos personales no pueden salir del EEE por esta vía, por lo que el § 7, apartado 2, letra e) del Reglamento prohíbe al Cliente utilizar datos personales como frase de búsqueda.

6. La evaluación de la legalidad de la fuente en el sentido del Dictamen 28/2024 del CEPD para ambas fuentes está en preparación. Hasta que se elabore, las utilizamos asumiendo conscientemente el riesgo descrito en el § 5, apartado 2, y en este apartado; facilitaremos esta evaluación al Cliente previa solicitud cuando esté disponible.

§ 8. Oposición del Autor y lista de exclusión

1. El Autor que se oponga al tratamiento o solicite la eliminación de sus datos puede dirigirse a VERTOM en [email protected] —como punto de contacto de los corresponsables del tratamiento (§ 3, apartado 4)— o directamente al Cliente. VERTOM elimina entonces los datos del Autor de todas las Organizaciones, incluida la Organización del Cliente, y registra un hash irreversible del identificador del Autor en la lista de exclusión, gracias a la cual los siguientes Escaneos omiten sus Entradas.

2. El Cliente reconoce que la oposición del Autor se tramita sin el consentimiento separado del Cliente y que, debido al carácter local del identificador, no siempre es posible determinar a qué Organización se refería; cuando es posible, VERTOM informa al Cliente de la eliminación.

3. La lista de exclusión es un conjunto que VERTOM mantiene independientemente como responsable del tratamiento, sobre la base del artículo 6, apartado 1, letra c), del RGPD (obligación de hacer efectivos los derechos de las personas) y del artículo 6, apartado 1, letra f), del RGPD (interés legítimo en la ejecución efectiva de la oposición). La lista contiene únicamente hashes de los que no pueden reconstruirse los datos del Autor y se mantiene por tiempo indefinido, pues su eliminación supondría recopilar de nuevo los datos de una persona que no lo desea.

§ 9. Finalización del tratamiento

1. Los datos de los Autores se eliminan automáticamente al finalizar el plazo de conservación resultante del Plan (Reglamento § 5, apartado 6), y las Entradas que no hayan sido evaluadas como Lead, del mismo modo y a más tardar que los Leads.

2. Tras la finalización del contrato de uso del Servicio, al expirar un período de gracia de 30 días, VERTOM elimina todos los datos de los Autores tratados en relación con la Organización del Cliente, junto con sus copias, salvo la lista de exclusión (§ 8) y los datos cuya conservación exija el Derecho de la Unión o de un Estado miembro.

3. Antes de la finalización del contrato, el Cliente puede descargar en el panel una copia de los Leads en formato abierto. Desde el momento de la descarga, el Cliente es responsable del tratamiento independiente respecto de dicha copia y determina por sí mismo su plazo de conservación.

§ 10. Disposiciones finales

1. Cada corresponsable del tratamiento responde frente al Autor por los daños causados por el tratamiento conforme al artículo 82 del RGPD; el Autor puede reclamar frente a cualquiera de ellos. Las liquidaciones entre las partes por este concepto se realizan conforme al reparto de obligaciones del § 3. Frente al Cliente que no sea un Cliente privilegiado se aplica la limitación de responsabilidad del § 10 del Reglamento, siempre que no sea contraria a disposiciones imperativas.

2. En los asuntos no regulados se aplican el Reglamento y el RGPD. La modificación del acuerdo se realiza conforme al procedimiento de modificación del Reglamento.

3. El acuerdo se ha redactado en siete idiomas; en caso de discrepancia, la versión polaca será vinculante. Es aplicable a partir del 7 de septiembre de 2026. Sustituye al Contrato de encargo del tratamiento de datos personales de 2 de septiembre de 2026, que se basaba en la premisa errónea de que el responsable del tratamiento de los datos de los Autores era únicamente el Cliente.